09 Feb Whaling – Spearing-Phishing-Attacken auf Führungskräfte

Whaling – eine spezielle Form des Phishings

Der Begriff selbst lässt es schon vermuten: Bei Whaling geht es um die dicken Fische (auch wenn der Wal bekanntlich ein Säugetier und kein Fisch ist). Bei dieser Sonderform des Phishings widmen sich Cyberkriminelle und Hacker den so genannten Big Playern ihrer Art. Das bedeutet: CEOs, Führungskräfte im Allgemeinen und auch Prominente stellen den bevorzugten Opfer-Typ dar. Eben all jene, die bekannt bzw. bekanntermaßen gut situiert sind. Das bedeutet automatisch: Der daraus entstandene (finanzielle) Schaden kann enorm hoch sein.

Whaling-Angriffe sind aufgrund ihrer hohen Individualisierung sehr komplex und erfordern ein hohes Maß an Kreativität – natürlich gepaart mit jeder Menge krimineller Energie. Nicht selten nehmen allein die Vorbereitungen bis zum finalen Angriff Monate in Anspruch. Ist er allerdings erfolgreich, zahlt sie die Mühe meist mehr als aus. Die jeweiligen Ziele können dabei variieren: Manchmal geht es „nur“ ums Geld (davon aber viel), manchmal lautet die Mission, persönliche und sensible Daten abzugreifen.

Wenn der Hacker zum Investigativ-Reporter wird

Um die Erfolgschance eines Whaling-Angriffs zu steigern, ist einiges an Recherche und Vorarbeit notwendig. Die Cyberkriminellen sind daher darauf spezialisiert, das gesamte Netz und die sozialen Medien zu durchforsten. Ihr Ziel: Möglichst viele Informationen über das potenzielle Opfer zu sammeln, denn nur so lässt sich ein glaubhaftes Szenario kreieren.

Die darauf basierende Phishing-Nachricht ist demnach in höchstem Maße individualisiert und wirkt damit nicht nur beim ersten Hinschauen real. Fast immer ist daher auch der vermeintliche Absender der Nachricht keine dem Opfer unbekannte Person. Durch die Kontakte und „Freundschaften“ in den sozialen Netzwerken finden die Angreifer in der Regel mühelos heraus, mit welchen realen Menschen ihre Zielperson in Kontakt steht. Die entsprechenden E-Mail-Adressen werden dann ganz einfach nachgebaut und sind für das ahnungslose Opfer auf den ersten Blick nicht als Fake zu erkennen. Hier kommt beispielsweise das E-Mail-Spoofing zum Einsatz oder die Kriminellen nutzen unauffällige Buchstabendreher.

Unterschiede zwischen Whaling, Phishing und dem CEO-Fraud

Bei Whaling handelt es sich streng genommen um eine Unterart des so genannten Spear-Phishings. Im Gegensatz zu klassischen Phishing-Kampagnen à la „Ihr PayPal Konto wurde gehackt, bestätigen Sie jetzt Ihre Zugangsdaten“, die auf die breite Masse abzielen und millionenfach versendet werden, handelt es sich bei Spear-Phishing immer um individualisierte Kampagnen. Und speziell beim Whaling stehen – wie eingangs erwähnt – hochrangige Menschen im Fokus.

Der CEO-Fraud hingegen eine andere Form des Cybercrimes und quasi das Gegenteil von Whaling. Hier bauen Hacker in der Regel die E-Mail-Adresse eines Chefs nach, um dessen Mitarbeiter zu unüberlegten und schnellen Handlungen (meist Geldüberweisungen ins Ausland) zu bewegen. Der ahnungslose Empfänger der Nachricht wird dahingehend ausgenutzt, dass er sich mit einer recht hohen Wahrscheinlichkeit nicht traut, die Anweisungen des vermeintlichen Chefs zu hinterfragen oder gar ihre Ausführung zu verweigern.

Schutzmaßnahmen & Sicherheitstipps

Wie bei nahezu jeder Form des Phishings gilt auch hier: Immer den gesunden Menschenverstand eingeschaltet lassen. Bleiben Sie stets misstrauisch, gerade dann, wenn Nachrichten mit einem dringenden Appell von vermeintlichen Freunden im Postfach landen. Fragen Sie immer noch einmal persönlich bei dem augenscheinlichen Absender nach, ob die E-Mail wirklich von ihm selbst stammt.

Die möglichen Schutzmaßnahmen haben wir hier noch einmal übersichtlich für Sie zusammengefasst:

• telefonische oder persönliche Rückversicherung beim vermeintlichen Absender
• Durchführung regelmäßiger Security Awareness-Schulungen – auch für Führungskräfte!
• E-Mail-Absender detailliert prüfen (erweitere Ansicht innerhalb des E-Mail-Programms nutzen)
• Einrichten von E-Mail-Filtern, Blacklists usw.
• Privatsphäre-Einstellungen in den sozialen Medien optimieren, ggf. öffentliche Sichtbarkeit einschränken
• Doppelter Boden bei Überweisungen: (Hohe) Zahlungen nur aufgrund des Vier-Augen-Prinzips und/oder eines mehrstufigen Verifizierungsverfahrens freigeben
• Implementierung der gängigen IT-Sicherheitstools (z. B. Firewall)

Zusatz-Tipp: Auch die Einführung einer internen Richtlinie für den Umgang mit Daten zahlt sich in Zeiten wachsender Cybercrime-Aktivitäten aus.

Hier lesen Sie den vollständigen Beitrag auf IT-SERVICE-NETWORK